Вкладка «USN»

На вкладке «USN» программы NTFS Stream Explorer отображается информация о журнале изменений USN в файловых системах NTFS и ReFS.

Вкладка «USN»

Версия USN

• 2.0 Самая распространённая версия.
• 3.0 Версия, появившаяся в Windows 2012 Server. Поддерживает 128-битные идентификаторы файлов.

Имя файла
Какое было имя файла в момент создания записи в журнал USN.

ID файла
В версии 3.0 128-битный идентификатор, в версии 2.0 64-битный.

ID родительского файла
Это идентификатор каталога, в котором находится файл. В версии 3.0 128-битный идентификатор, в версии 2.0 64-битный.

USN
Номер записи USN.

ID безопасности
ID безопасности, который был у файла в момент создания записи в журнал USN.

Атрибуты файла
Набор атрибутов файла, которые были у файла в момент создания записи в журнал USN.

Время
Метка времени, когда была создана запись в журнале изменений USN.

Флаги причины
Флаги причины создания записи в журнале USN, в цифровом виде. Ниже есть поле «Причина», где эти флаги представлены в текстовом виде.

• USN_REASON_DATA_OVERWRITE
• USN_REASON_DATA_EXTEND
• USN_REASON_DATA_TRUNCATION
• USN_REASON_NAMED_DATA_OVERWRITE
• USN_REASON_NAMED_DATA_EXTEND
• USN_REASON_NAMED_DATA_TRUNCATION
• USN_REASON_FILE_CREATE
• USN_REASON_FILE_DELETE
• USN_REASON_EA_CHANGE
• USN_REASON_SECURITY_CHANGE
• USN_REASON_RENAME_OLD_NAME
• USN_REASON_RENAME_NEW_NAME
• USN_REASON_INDEXABLE_CHANGE
• USN_REASON_BASIC_INFO_CHANGE
• USN_REASON_HARD_LINK_CHANGE
• USN_REASON_COMPRESSION_CHANGE
• USN_REASON_ENCRYPTION_CHANGE
• USN_REASON_OBJECT_ID_CHANGE
• USN_REASON_REPARSE_POINT_CHANGE
• USN_REASON_STREAM_CHANGE
• USN_REASON_TRANSACTED_CHANGE
• USN_REASON_CLOSE

Флаги источника
Флаги источника создания записи в журнале USN, в цифровом виде. Ниже есть поле «Источник», где эти флаги представлены в текстовом виде.

По теме файловых потоков также есть следующее:

• Алгоритм получения списка потоков NTFS на C/C++.
• Скрытое хранение данных в потоках файла $Repair.